思科ACI部署完全指南

第 1章　ACI客戶指南 1
1．1　產(chǎn)業(yè)趨勢(shì)與變革 1
1．2　下一代數(shù)據(jù)中心 2
1．2．1　新的應(yīng)用類型 2
1．2．2　自動(dòng)化、編排和云 3
1．2．3　端到端安全性 4
1．3　主干—葉（Spine-Leaf）架構(gòu) 5
1．4　ACI概述 8
1．5　ACI功能組件 9
1．5．1　Nexus 9500 9
1．5．2　Nexus 9300 9
1．5．3　以應(yīng)用為中心的基礎(chǔ)設(shè)施控制器 10
1．6　激活A(yù)CI矩陣協(xié)議 10
1．6．1　數(shù)據(jù)平面協(xié)議 10
1．6．2　控制平面協(xié)議 11
1．7　與ACI交互 12
1．7．1　GUI 12
1．7．2　NX-OS CLI 12
1．7．3　開放式REST API 13
1．8　策略模型簡(jiǎn)介 13
1．8．1　應(yīng)用配置描述（AP）和端點(diǎn)組（EPG） 13
1．8．2　VRF和橋接域（BD） 14
1．9　矩陣拓?fù)?14
1．9．1　單站點(diǎn)模型 14
1．9．2　Multi-Pod模型 14
1．9．3　Multi-Site模型 15
1．10　小結(jié) 15
第 2章　矩陣構(gòu)建 16
2．1　構(gòu)建一個(gè)更好的網(wǎng)絡(luò) 16
2．1．1　關(guān)于矩陣的考量 17
2．1．2　分階段向ACI遷移 28
2．1．3　向以應(yīng)用為中心的模式演進(jìn) 35
2．2　與虛擬機(jī)管理器（VMM）的集成 39
2．2．1　AVS 39
2．2．2　VMware 41
2．2．3　Microsoft 42
2．2．4　OpenStack 43
2．3　4～7層服務(wù) 44
2．3．1　納管模式（Managed Mode） 44
2．3．2　非納管模式（Unmanaged Mode） 46
2．4　其他Multi-Site配置 46
2．4．1　ACI Stretched Fabric 48
2．4．2　ACI Multi-Pod 48
2．4．3　ACI Multi-Site 49
2．4．4　ACI雙矩陣設(shè)計(jì) 49
2．4．5　分布式網(wǎng)關(guān)（Pervasive Gateway） 50
2．4．6　虛擬機(jī)管理器的考量 50
2．5　小結(jié) 51
第3章　矩陣上線 53
3．1　開箱并初始化 53
3．1．1　建議開啟的服務(wù) 54
3．1．2　管理網(wǎng)絡(luò) 56
3．1．3　配置控制器之所見 57
3．2　首次登錄APIC GUI 62
3．2．1　基礎(chǔ)模式與高級(jí)模式 63
3．2．2　矩陣發(fā)現(xiàn) 66
3．2．3　葉節(jié)點(diǎn)擴(kuò)展交換機(jī)（FEX） 68
3．3　必需的服務(wù) 68
3．3．1　基礎(chǔ)模式的初始化設(shè)置 69
3．3．2　高級(jí)模式的初始化設(shè)置 73
3．3．3　管理網(wǎng)絡(luò) 80
3．3．4　矩陣策略 82
3．4　管理軟件版本 83
3．4．1　固件倉(cāng)庫(kù) 84
3．4．2　控制器固件和維護(hù)策略 85
3．4．3　配置管理 87
3．5　小結(jié) 91
第4章　ACI與虛擬化技術(shù)集成 92
4．1　為什么要集成 92
4．2　虛擬機(jī)與容器網(wǎng)絡(luò) 93
4．2．1　ACI與虛擬交換機(jī)集成的優(yōu)勢(shì) 95
4．2．2　ACI集成與軟件疊加（Overlay）網(wǎng)絡(luò)的比較 97
4．2．3　虛擬機(jī)管理域（VMM Domain） 99
4．2．4　EPG分段與微分段（Micro-Segmentation） 104
4．2．5　EPG內(nèi)部隔離與EPG內(nèi)合約 111
4．2．6　ACI與刀片系統(tǒng)虛擬交換機(jī)集成 114
4．2．7　OpFlex 117
4．2．8　多數(shù)據(jù)中心部署 117
4．3　VMware vSphere 118
4．3．1　ACI與vSphere VSS共存 119
4．3．2　ACI與vSphere VDS共存 120
4．3．3　ACI與vSphere VDS集成 121
4．3．4　vCenter賬戶要求 122
4．3．5　VDS上的微分段 123
4．3．6　刀片服務(wù)器與VDS集成 123
4．3．7　ACI與思科AVS集成 124
4．3．8　基于VDS和AVS的虛擬網(wǎng)絡(luò)設(shè)計(jì) 125
4．3．9　面向vCenter服務(wù)器的ACI插件：通過(guò)vCenter配置ACI 128
4．3．10　ACI與VMware NSX共存 131
4．4　Microsoft 131
4．4．1　Microsoft Hyper-V與SCVMM簡(jiǎn)介 132
4．4．2　集成準(zhǔn)備 132
4．4．3　微分段 134
4．4．4　刀片服務(wù)器與SCVMM集成 134
4．5　OpenStack 135
4．5．1　ML2和基于組的策略 135
4．5．2　ACI與OpenStack集成 136
4．5．3　面向OpenStack的ACI ML2插件基本操作 137
4．5．4　面向OpenStack的ACI ML2插件安全性 138
4．5．5　面向OpenStack的ACI ML2插件NAT 139
4．5．6　面向OpenStack的ACI GBP插件 141
4．6　Docker網(wǎng)絡(luò)與Contiv項(xiàng)目 142
4．7　Kubernetes 146
4．7．1　Kubernetes網(wǎng)絡(luò)模型 147
4．7．2　隔離模型 148
4．7．3　為Kubernetes Pod創(chuàng)建新EPG 149
4．7．4　通過(guò)注解將Deployment或Namespace分配給EPG 150
4．7．5　Kubernetes對(duì)象在ACI上的可見性 151
4．8　公有云集成 151
4．9　小結(jié) 152
第5章　進(jìn)入ACI網(wǎng)絡(luò)世界 153
5．1　探索ACI網(wǎng)絡(luò) 154
5．1．1　端點(diǎn)組（EPG）與合約（Contract） 154
5．1．2　VRF與BD 165
5．1．3　將外部網(wǎng)絡(luò)連接到矩陣 174
5．1．4　基本模式GUI 180
5．1．5　高級(jí)模式接入策略 182
5．2　以網(wǎng)絡(luò)為中心VLAN=BD=EPG 192
5．2．1　將策略應(yīng)用于物理工作負(fù)載及虛擬化工作負(fù)載 194
5．2．2　將設(shè)備逐VLAN遷移至矩陣 196
5．2．3　策略執(zhí)行（Enforced）VRF與策略放行（Unenforced）VRF 200
5．2．4　3層到核心 200
5．2．5　L3 Out與外部路由網(wǎng)絡(luò) 201
5．2．6　L3 Out的簡(jiǎn)化對(duì)象模型 202
5．2．7　邊界葉節(jié)點(diǎn)（Border Leaf） 205
5．2．8　將默認(rèn)網(wǎng)關(guān)遷移至矩陣 206
5．3　小結(jié) 209
第6章　ACI外部路由 210
6．1　物理連接考量 210
6．2　路由接口與SVI 211
6．3　外部BD 213
6．4　BFD 214
6．5　接入端口 215
6．6　端口通道 216
6．7　虛擬端口通道 217
6．8　L3 Out彈性網(wǎng)關(guān) 218
6．9　HSRP 219
6．10　路由協(xié)議 221
6．10．1　靜態(tài)路由 222
6．10．2　EIGRP 222
6．10．3　OSPF 223
6．10．4　BGP 227
6．11　外部EPG與合約 230
6．11．1　外部EPG 230
6．11．2　L3 Out EPG與內(nèi)部EPG之間的合約 231
6．12　多租戶路由考量 231
6．12．1　共享3層外部連接 233
6．12．2　穿透路由 235
6．13　廣域網(wǎng)集成 239
6．13．1　多租戶外部3層連通性的設(shè)計(jì)建議 240
6．13．2　QoS 241
6．14　組播 243
6．14．1　推薦的組播最佳實(shí)踐 244
6．14．2　組播配置概述 247
6．15　小結(jié) 247
第7章　ACI如此不同 248
7．1　管理矩陣與管理設(shè)備 249
7．1．1　集中化CLI 249
7．1．2　系統(tǒng)儀表板 250
7．1．3　租戶儀表板 251
7．1．4　健康指數(shù) 252
7．1．5　物理對(duì)象與邏輯對(duì)象 253
7．1．6　網(wǎng)絡(luò)策略 254
7．2　維護(hù)網(wǎng)絡(luò) 258
7．2．1　故障管理 258
7．2．2　配置管理 262
7．2．3　軟件升級(jí) 269
7．2．4　打破IP設(shè)計(jì)束縛 273
7．2．5　物理網(wǎng)絡(luò)拓?fù)?274
7．2．6　變革網(wǎng)絡(luò)消費(fèi)模式 278
7．3　小結(jié) 279
第8章　邁向以應(yīng)用為中心的網(wǎng)絡(luò) 280
8．1　以網(wǎng)絡(luò)為中心的部署 281
8．1．1　在以網(wǎng)絡(luò)為中心的部署中取消數(shù)據(jù)包過(guò)濾 282
8．1．2　提高每臺(tái)葉交換機(jī)的VLAN可擴(kuò)展性 283
8．1．3　查看以網(wǎng)絡(luò)為中心設(shè)計(jì)的配置 284
8．1．4　以應(yīng)用為中心的部署：安全性用例 286
8．1．5　白名單模型與黑名單模型 287
8．1．6　策略執(zhí)行與策略放行：沒有合約的ACI 287
8．1．7　EPG作為一臺(tái)基于區(qū)域的防火墻 288
8．1．8　合約的安全模型 290
8．1．9　基于思科AVS的狀態(tài)防火墻 297
8．1．10　EPG內(nèi)部通信 299
8．1．11　任意EPG（Any EPG） 301
8．1．12　有效利用資源的合約定義最佳實(shí)踐 302
8．2　以應(yīng)用為中心部署的運(yùn)營(yíng)用例 303
8．2．1　以應(yīng)用為中心的監(jiān)控 303
8．2．2　QoS 304
8．3　遷移至以應(yīng)用為中心的模型 307
8．3．1　禁用傳統(tǒng)模式BD 307
8．3．2　禁用VRF的策略放行 308
8．3．3　創(chuàng)建新應(yīng)用配置描述及EPG 308
8．3．4　將端點(diǎn)遷移至新EPG 309
8．3．5　微調(diào)安全規(guī)則 309
8．4　如何發(fā)現(xiàn)應(yīng)用依賴性 310
8．4．1　專注于新應(yīng)用 310
8．4．2　遷移現(xiàn)有應(yīng)用 311
8．5　小結(jié) 314
第9章　多租戶 316
9．1　網(wǎng)絡(luò)多租戶的需求 316
9．1．1　數(shù)據(jù)平面多租戶 317
9．1．2　管理平面多租戶 317
9．2　ACI中的多租戶 318
9．2．1　安全域 319
9．2．2　基于角色的訪問(wèn)控制（RBAC） 320
9．2．3　物理域 324
9．2．4　通過(guò)QoS保護(hù)邏輯帶寬 326
9．2．5　租戶和應(yīng)用 327
9．2．6　業(yè)務(wù)線的邏輯隔離 327
9．2．7　安全性或合規(guī)性的邏輯隔離 328
9．3　將資源遷移至租戶 330
9．3．1　創(chuàng)建邏輯租戶結(jié)構(gòu) 331
9．3．2　實(shí)施管理平面多租戶 331
9．3．3　遷移EPG與合約 331
9．3．4　導(dǎo)出與導(dǎo)入租戶間通信合約 332
9．3．5　實(shí)施數(shù)據(jù)平面多租戶 334
9．3．6　何時(shí)選擇專用VRF或共享VRF 336
9．3．7　多租戶的可擴(kuò)展性 337
9．4　外部連通性 338
9．5　租戶間連通性 344
9．5．1　VRF間外部連通性 344
9．5．2　VRF間內(nèi)部連通性（路由泄露） 345
9．6　4～7層服務(wù)集成 347
9．6．1　導(dǎo)出4～7層設(shè)備 347
9．6．2　4～7層Multi-Context設(shè)備 348
9．7　多租戶連通性用例 348
9．7．1　ACI作為傳統(tǒng)網(wǎng)絡(luò) 348
9．7．2　將網(wǎng)絡(luò)可見性賦予其他部門 348
9．7．3　提供共享服務(wù)的跨組織共享網(wǎng)絡(luò) 349
9．7．4　外部防火墻互連多個(gè)安全區(qū)域 350
9．7．5　服務(wù)提供商 351
9．8　小結(jié) 352
第 10章　集成4～7層服務(wù) 353
10．1　服務(wù)植入 353
10．1．1　當(dāng)前主流做法 354
10．1．2　納管與非納管（Managed和Unmanaged） 360
10．1．3　生態(tài)系統(tǒng)合作伙伴 365
10．1．4　管理模型 366
10．1．5　功能配置描述 369
10．2　所有主機(jī)的安全性 373
10．2．1　建立端到端安全解決方案 375
10．2．2　防火墻集成 380
10．2．3　安全監(jiān)控集成 392
10．2．4　入侵防御系統(tǒng)集成 393
10．2．5　服務(wù)器負(fù)載均衡及ADC集成 397
10．2．6　雙節(jié)點(diǎn)服務(wù)視圖（Service Graph）的設(shè)計(jì) 402
10．3　小結(jié) 404
第 11章　ACI Multi-Site設(shè)計(jì) 405
11．1　打造第 2個(gè)站點(diǎn) 405
11．1．1　Stretched Fabric設(shè)計(jì) 408
11．1．2　多矩陣設(shè)計(jì) 413
11．2　Multi-Pod架構(gòu) 423
11．2．1　ACI Multi-Pod應(yīng)用案例及拓?fù)渲С?424
11．2．2　ACI Multi-Pod可擴(kuò)展性的考量 427
11．2．3　Pod間網(wǎng)絡(luò)連通性部署的考量 427
11．2．4　IPN控制平面 429
11．2．5　IPN組播支持 430
11．2．6　主干與IPN連通性的考量 434
11．2．7　自動(dòng)部署Pod 439
11．2．8　APIC集群部署的考量 440
11．2．9　通過(guò)配置區(qū)域減少配置失誤的影響 445
11．2．10　遷移策略 446
11．3　Multi-Site架構(gòu) 449
11．3．1　APIC與Multi-Site控制器的功能對(duì)比 452
11．3．2　Multi-Site的概要（Schema）與模板 453
11．3．3　Multi-Site應(yīng)用案例 457
11．3．4　Multi-Site與L3 Out的考量 463
11．3．5　3層組播部署選項(xiàng) 465
11．3．6　將矩陣遷移至ACI Multi-Site 466
11．4　小結(jié) 468
第 12章　排障與監(jiān)控 469
12．1　如何應(yīng)對(duì)低健康指數(shù) 470
12．2　NX-OS命令行界面 471
12．2．1　連接到葉交換機(jī) 474
12．2．2　Linux命令 477
12．2．3　將本地對(duì)象映射至全局對(duì)象 479
12．2．4　若干好用的葉交換機(jī)命令 483
12．2．5　解決物理問(wèn)題 489
12．3　ACI排障工具 496
12．3．1　硬件診斷 496
12．3．2　丟包：計(jì)數(shù)器同步 498
12．3．3　原子計(jì)數(shù)器（Atomic Counter） 498
12．3．4　流量鏡像：SPAN與復(fù)制服務(wù) 500
12．3．5　Troubleshooting Wizard（排障向?qū)В?506
12．3．6　Endpoint Tracker（端點(diǎn)追蹤器） 512
12．3．7　有效利用矩陣資源 514
12．4　監(jiān)控策略與統(tǒng)計(jì) 519
12．4．1　SNMP策略 519
12．4．2　系統(tǒng)日志策略 521
12．4．3　統(tǒng)計(jì) 522
12．5　ACI支持的第三方監(jiān)控工具 523
12．5．1　IBM Tivoli Netcool 523
12．5．2　SevOne 523
12．5．3　ScienceLogic 524
12．5．4　Splunk 524
12．5．5　Zenoss 524
12．6　小結(jié) 524
第 13章　ACI可編程性 525
13．1　為什么需要網(wǎng)絡(luò)可編程性 525
13．1．1　傳統(tǒng)網(wǎng)絡(luò)自動(dòng)化的問(wèn)題 526
13．1．2　SNMP 526
13．1．3　NETCONF與YANG 527
13．1．4　編程接口和SDK 527
13．2　ACI編程接口 528
13．2．1　ACI REST API 528
13．2．2　REST API的身份驗(yàn)證 529
13．2．3　API Inspector（檢查器） 529
13．2．4　REST API客戶端 529
13．2．5　編程語(yǔ)言調(diào)用REST API 530
13．2．6　ACI對(duì)象模型 531
13．2．7　GUI調(diào)試信息 532
13．2．8　ACI軟件開發(fā)套件 538
13．2．9　搜尋自動(dòng)化與程式化示例 540
13．2．10　沒有矩陣也能開發(fā)并測(cè)試代碼 540
13．3　通過(guò)網(wǎng)絡(luò)自動(dòng)化提高運(yùn)營(yíng)效率 543
13．3．1　提供網(wǎng)絡(luò)可見性 543
13．3．2　網(wǎng)絡(luò)配置外部化 544
13．3．3　交換機(jī)端口配置外部化 545
13．3．4　安全配置外部化 546
13．3．5　自動(dòng)化水平集成 547
13．3．6　產(chǎn)品內(nèi)置水平集成示例 547
13．3．7　基于外部自動(dòng)化的水平集成示例 548
13．3．8　自動(dòng)生成網(wǎng)絡(luò)文檔 550
13．4　通過(guò)網(wǎng)絡(luò)自動(dòng)化實(shí)現(xiàn)更多業(yè)務(wù)模式 550
13．4．1　敏捷應(yīng)用部署與DevOps 551
13．4．2　持續(xù)部署與持續(xù)集成 551
13．4．3　Linux容器與微服務(wù)架構(gòu) 552
13．4．4　配置管理工具 552
13．4．5　私有云與IaaS 553
13．4．6　與思科企業(yè)云套件集成 554
13．4．7　與VMware vRealize套件集成 555
13．4．8　與Microsoft Azure Pack和Azure Stack的集成 557
13．4．9　與OpenStack集成 557
13．4．10　混合云 557
13．4．11　平臺(tái)即服務(wù) 558
13．4．12　ACI與Apprenda集成 558
13．4．13　Mantl和Shipped 559
13．5　ACI應(yīng)用中心 560
13．6　小結(jié) 562